di Matteo Brandi
GROSSETO. Usatissime, le app di messaggistica ormai hanno sostituito gli sms e molto spesso le email. Ma conosci veramente come funzionano e soprattutto le potenzialità, non in termini di emoji e cuoricini, ma di sicurezza e privacy?
Seguimi in questo viaggio nelle tre principali App di messaggistica gratuita utilizzate: WhatsApp, Telegram e Signal.
Prima chiariamo alcuni concetti che saranno ripetuti spesso.
Cifratura end-to-end: significa che le chat sono cifrate tra i dispositivi degli utenti. Tutto il resto del mondo, compresi i dipendenti della società che gestisce l’app, non possono vederli in chiaro.
Software Open Source: il codice di queste applicazioni è visibile o sul sito web dell’azienda produttrice o su siti web specializzati. Questo consente una trasparenza assoluta rispetto al funzionamento perché chiunque al mondo può verificare che faccia quello che dice di fare. Credetemi: ci sono persone molto competenti e molto volenterose che revisionano questi software.
Che tu usi WhatsApp o Telegram, una cosa vale per tutte: tienile aggiornate. Sono software come tutti gli altri: possono essere trovate nel tempo delle vulnerabilità più o meno gravi. Quindi controlla ogni tanto che la tua sia aggiornata all’ultima versione.
Le pratiche di sicurezza comuni a tutte e 3 le app
Il blocco del telefono non basta
Purtroppo si vedono filmati di furti dove il telefono viene strappato dalle mani, quindi è sbloccato ed utilizzabile dal ladro. Hai notato che quando apri un’app bancaria devi comunque autorizzare l’accesso? Non vorresti che il ladro potesse vedere il tuo conto corrente giusto?
Lo stesso non vorresti che il ladro, con il tuo telefono sbloccato in mano, possa leggere tutti i tuoi messaggi e magari anche di inviarne giusto? In base alla tecnologia del telefono (TouchID, FaceID o codice) si può rendere l’app di messagistica come quella della banca: per poterla usare deve essere sbloccata nuovamente. Questa funzionalità, però, deve essere attivata. È un po’ scomoda, ma la rende più sicura.
Codice di ripristino
Per evitare che altri registrino il tuo numero di telefono nell’applicazione esiste la possibilità di inserire un Pin, che deve essere ricordato e la società dell’applicazione non potrà farlo per te.
Gestisci bene le notifiche sul telefono
Le notifiche sono fondamentali per sapere quando un messaggio arriva. Ma spesso condividono sia il mittente che le prime righe di testo che unita all’abitudine di tenere il telefono su tavoli e scrivanie, rende vulnerabile la privacy. I due sistemi operativi hanno impostazioni sulle notifiche.
WhatsApp, la più usata in Italia
WhatsApp è la più usata in Italia, la regina delle app di messaggistica. La app è gratuita ed è di proprietà di Meta Inc. registrata negli Stati Uniti d’America, la società proprietaria di Facebook ed il codice non è di pubblico dominio (non è Open Source, quindi non può essere liberamente revisionato).
Vediamo l’aspetto più importante: quanto sono segrete le chat?
La documentazione ufficiale (fonte qui ) riporta che le chat sono criptate end-to-end automaticamente tra utenti. Nessuno oltre alla persona a cui stai scrivendo potrà vedere i messaggi, allegati o ascoltare telefonate. Il protocollo utilizzato per la cifratura, è lo stesso della app Signal.
I messaggi vengono archiviati solo temporaneamente sui server della società per poi essere cancellati dopo essere stati consegnati (viene conservato per un massimo di 30 giorni se la consegna non riesce).
Per attivare il blocco della app ed il codice di recupero invece, che qui si chiama “verifica in due passaggi” , vai su Impostazioni > Controllo della privacy: c’è un utilissimo tour guidato a queste impostazioni, compreso quella per cui sconosciuti non possano aggiungerti a gruppi (persone si sono trovate aggiunte in gruppi loro malgrado).
Una funzionalità molto utile, è la notifica di sicurezza, per essere informati se è successo qualcosa di sospetto.
Per attivarla: Impostazioni > Account > Notifiche di sicurezza .
Per quanto riguarda le notifiche, si può agire anche a livello di app andando a Impostazioni > Notifiche > Mostra Anteprima.
Un funzionalità molto recedente, rilasciata a maggio 2023, è il lucchetto alla chat.
Per accedere ad una chat con lucchetto si deve inserire un’ulteriore password o sbloccarla con i dati biometrici (faccia o impronta digitale). Pensata per inserire un ulteriore “strato” di riservatezza se capitasse di condividere l’applicazione.
Per attivarla basta andare sulla chat e scorrere tra le opzioni trovando il lucchetto.
Ha anche la funzionalità dei messaggi effimeri, i messaggi che si cancellano dopo 24 ore, 7 giorni o 90 giorni (a meno che non vengano inoltrati ad un account che non ha questa funzionalità attivata per esempio).
Si possono impostare per tutte le chat su Impostazioni>Privacy>Timer predefinito messaggi oppure solo per alcune chat andando sulla chat desiderata e scorrendo le opzioni.
Per il recupero dei messaggi in caso di smarrimento o rottura del telefono, siccome questi non stanno nei server di Meta, devi fare il backup, altrimenti devi affidarti a software che andranno a scansionare la memoria del tuo telefono se lo possiedi ancora, ma non sempre vanno a buon fine.
Negli ultimi aggiornamenti hanno inserito al possibilità di fare backup delle chat cifrati, un aspetto che rappresentava la sua vulnerabilità principale, ma deve essere attivato, altrimenti le copie andranno in chiaro nei servizi di backup. Per attivarlo:
- vai su Impostazioni > Chat > Backup delle chat
- tocca Backup crittografato end-to-end
- tocca Attiva, quindi segui le indicazioni
Può anche essere disattivato.
Se invece esegui un cambio telefono con quello in via di dismissione funzionante ed in tuo possesso, c’è una procedura di passaggio senza backup.
Quali dati WhatsApp tiene di chi lo usa
Ma qualcosa di noi la app colleziona, vediamo cosa. Per esempio se andiamo nell’App Store di iOS, il sistema operativo di iPhone, nell’informativa privacy della app, troviamo scritto che sono collezionati i seguenti dati:
Collegati a te:
- Pubblicità
- Id dispositivo
- dati sulla pubblicità
- Analisi
- cronologia acquisti
- Posizione approssimativa
- numero di telefono
- interazione con il prodotto
- diagnosi, dati sulle prestazioni
- Personalizzazione del prodotto
- altri contenuti dell’utente
- Funzionalità della app
- Cronologia degli acquisti
- informazioni di pagamento
- Dati non collegati a te
- Analisi
- cronologia delle ricerche
Esiste anche la versione utilizzabile da Pc con il browser e come per i social, si possono controllare le sessioni attive, per evitare che altri si siano collegati a nostra insaputa con questa funzionalità.
Telegram, l’app che tiene le chat sul cloud
Telegram è l’altra app gratuita molto usata per la messaggistica.
La app è di proprietà della società Telegram FZ LLC con sede in Dubai.
La app è Open Source e l’azienda invita gli esperti a trovare vulnerabilità offrendo ricompense elevate, sfida che aumenta la sua sicurezza.
La differenza principale con Whatsapp (e Signal), è che Telegram è basata sul cloud: i messaggi rimangono sui loro server in forma cifrata e quindi non servono backup. Si potranno sempre scaricare dai loro server.
Un’altra delle caratteristiche che la distinguono dalle altre, è che il numero telefonico si può nascondere.
Sul sistema di cifratura, quindi sulla sicurezza dei messaggi, bisogna spendere due parole.
Ha un sistema di cifratura proprietario, creato dai fondatori che sono due brillanti matematici. Anche il sistema di cifratura segue la politica dell’Open Source, quindi chiunque può revisionarlo e testarlo.
Quando si avvia una chat con un contatto, questa è si cifrata, ma non end-to-end, ma client-server. Cosa significa: che Telegram ha la chiave di decifrazione dei messaggi, ma questa è separata in varie parti e queste parti sono conservate in server dislocati in vari paesi e quindi sotto diverse giurisdizioni, quindi è molto complesso ricostruirla.
Ma anche Telegram ha la cifratura end-to-end per fa sì che solo i destinatari possano leggere i contenuti. Siccome la chiave per decifrare risiede nello smartphone, questi messaggi non godono del servizio cloud come gli altri.
Come si attiva? Bisogna andare sul profilo utente con il quale vogliamo comunicare e poi
Altro > Avvia chat segreta
e la chat avrà il simbolo di un lucchetto.
Da notare che i gruppi non sembrano poter godere della cifratura end-to-end come per le chat a due.
Questa app ha molte funzionalità per la privacy verso gli altri utenti.
Nel menu
Impostazioni > Privacy e Sicurezza
si può nascondere il numero di telefono e mostrare solo un nome a scelta oltre che nascondere l’ultimo accesso, non mostrare la propria foto e non mostrare il proprio account quando qualcuno inoltra i nostri messaggi e altro.
Anche in Telegram i gruppi sono molto usati e sempre in questo menu, scorrendo le impostazioni, si può definire chi ci può aggiungere, se tutti, i nostri contatti o nessuno.
Puoi inoltre impostare anche la cancellazione automatica dell’account per inattività in modo tale di non lasciare account abbandonati a giro per internet.
Per dover sbloccare la app nonostante il telefono sia sbloccato, basta andare in
Impostazioni > Privacy e Sicurezza > Codice e TouchID attivando la funzionalità.
Visto che anche in Telegram c’è la possibilità di utilizzarlo su più dispositivi contemporaneamente (smartphone, tablet e Pc per esempio), puoi impostare una password che sarà richiesta quando un dispositivo proverà a connettersi.
Si attiva in Impostazioni > Privacy e Sicurezza > Verifica in due passaggi
Anche in Telegram si possono impostare messaggi che si auto cancellano nelle impostazioni (furono i primi ad introdurli), sia come impostazione generale o per singola chat.
Visto che si può usare su più dispositivi, il controllo delle sessioni attive ti dirà quanti e quali sono i dispositivi associati, in modo tale da avere sempre sotto controllo la situazione, ma le chat con il lucchetto per esempio non possono essere condivise con il Pc attraverso il browser, ma rimangono solo sul telefono.
La società ha iniziato di recente a vendere servizi premium per la app, cosa che non pregiudica l’uso quotidiano, che rimane gratuito.
Quali dati tiene Telegram di chi lo usa
Vediamo che informazioni colleziona su di noi. Aprendo L’App Store di iOS, il sistema operativo di iPhone, si legge:
Collegati a Te:
- Funzionalità della app
- Cronologia acquisti
- informazioni di pagamento
- posizione precisa
- Nome e numero di telefono
- contatti
- email e messaggi
- foto e video
- dati audio
- contenuti gameplay
Per leggere le caratteristiche della app direttamente da Telegram, questo è il link.
Signal, il meno noto, ma il più sicuro
Signal Private Messenger è sicuramente la meno nota ed usata in Italia tra le app di messaggistica, ma quella ritenuta più sicura dalla comunità della sicurezza informatica e della crittografia.
La società è registrata negli Stati Uniti d’America come senza scopo di lucro ed esiste grazie alle donazioni.
Il software è Open Source, quindi revisionale da chiunque.
La società si è sicuramente distinta negli ultimi anni nello studio e nella implementazione di soluzioni crittografiche all’avanguardia.
Leggendo qui le principali caratteristiche, ha le sue basi nel protocollo crittografico “Open Whisper System” come Whatsapp, un protocollo anch’esso open source.
Come funziona Signal?
Le chat sono cifrate end-to-end (quindi nessuno può accedere alle informazioni oltre ai legittimi destinatari) ed i messaggi non sono conservati sui server della società ma nei singoli dispositivi.
Per salvare i messaggi bisogna fare i backup, ma Signal non supporta i backup in cloud, dovrai scaricarli sul tuo Pc.
Signal, come Whatsapp, ti identifica con il numero di telefono ed alla registrazione ti chiede si impostare un Pin per recuperare il profilo in caso di smarrimento del telefono.
Se lo smarrisci non c’è recupero e la app sarà bloccata per 7 giorni. Esiste però la simpatica funzionalità di promemoria che ti costringe ad inserirlo ogni 14 giorni in modo da ricordarlo.
Sicuramente è un’app con molte meno impostazioni rispetto alle precedenti essendo nata già con una fortissimo focus sulla privacy e la sicurezza.
Nel menu Impostazioni > Privacy ci sono alcune opzioni come la possibilità di
- attivare i messaggi a scomparsa
- nascondere la app nell’elenco applicazioni
- blocco schermo per dover sbloccare la app
- nascondere le chiamate nell’elenco del sistema operativo
Nel menu Impostazioni > Chat si può
- non condividere i contatti con il sistema operativo del telefono
- evitare di generare le anteprime dei link ricevuti
Nel menu Account puoi:
- cambiare il PIN
- attivare il promemoria del PIN
- attivare il blocco registrazione: richiedere il PIN per registrare nuovamente il tuo numero (ed evitare che altri lo facciano al posto tuo)
L’applicazione poi ti segnalerà automaticamente se una attività sospetta nello scambio dei messaggi si fosse verificata.
Su Signal si possono formare gruppi anche molto numerosi (limite 1000 membri).
Vediamo che informazioni colleziona la app su di noi. Sull’App Store di iOS leggiamo:
Dati non collegati a te
Funzionalità della app
- Numero di telefono
Fine.
La brevità della lista delle informazioni collezionate è sicuramente un aspetto da mettere in evidenza rispetto a quelle molto più lunghe di WhatsApp e Telegram.
Signal è ritenuta al momento l’applicazione di messaggistica più sicura e meno invasiva dalla comunità della sicurezza informatica internazionale. Conoscere le impostazioni di sicurezza e privacy dell’app usata, contribuisce sicuramente ad aumentarne la sicurezza.
Ma i pericoli di Internet non sono finiti. Rimani connesso.
Maremma Cyber Watch – Difenditi dalle trappole di internet
La nostra rubrica di consigli pratici per muoversi sicuri nel mondo del web e delle app. A cura di Marco Brandi
